Sovcombank ha lanzado un programa de búsqueda de vulnerabilidades en la plataforma BI.ZONE Bug Bounty. Investigadores de seguridad independientes pueden verificar más de 40 recursos del banco: servicios web, aplicaciones móviles y otros sistemas. El monto de la recompensa depende de la criticidad del error encontrado.
El pago máximo es de 120 mil rublos. Esta cantidad se pagará por la ejecución remota de código, inyecciones SQL, la inserción de entidades XML externas y la inclusión de archivos locales y remotos. Por la falsificación de solicitudes del lado del servidor se otorgan hasta 60 mil, por el scripting entre sitios, hasta 20 mil. Según los datos de la plataforma, se han pagado un total de 477.5 mil rublos, el pago promedio es de 25.1 mil, y se han aceptado 19 informes de 70.
Sovcombank tiene 10 millones de clientes minoristas activos y 300 mil empresas. El programa complementará los procesos de protección existentes, según declaró el banco. Las organizaciones financieras siguen siendo uno de los segmentos más activos del mercado de recompensas por errores: pagar a un investigador es más barato que eliminar las consecuencias de una fuga.
Las reglas son estrictas: están prohibidos los ataques DoS, la ingeniería social y las pruebas en cuentas de terceros. El tráfico debe pasar a través de una VPN emitida con el encabezado "X-Bug-Bounty", de lo contrario se considerará un ataque no autorizado.
Además de Sovcombank, otras empresas en Russia también desarrollan programas de recompensas por errores. HeadHunter, en la plataforma Standoff Bug Bounty, paga hasta 500 mil rublos por vulnerabilidades críticas; Timeweb, por el acceso a nodos de control de Kubernetes, hasta 1 millón; Avito, por errores críticos, incluidos los servicios de IA, también hasta 1 millón. Grupo Astra, en la mayoría de los programas, paga hasta 100 mil, y por vulnerabilidades en Astra Linux, hasta 250 mil; Tochka Bank, hasta 450 mil. El pago único máximo en la historia de Standoff Bug Bounty alcanzó casi 4 millones de rublos, el promedio por una vulnerabilidad aceptada es de aproximadamente 58 mil. En 2025, las organizaciones rusas pagaron a los cazadores de errores en BI.ZONE Bug Bounty 100 millones de rublos por 2.5 mil informes aceptados.